《网络安全法》自生效以来，对企业的网络产品、安全服务、跨境数据传输、个人信息保护等方面提出了更高的要求。其中，《网络安全法》及其配套规范性文件对企业收集/接收、存储、授权第三方使用消费者个人信息等环节的规范备受关注，并成为近期有关执法部门关注的重点。

据媒体报道，2017年12月11日，江苏省消费者权益保护委员会就北京百度网讯科技有限公司涉嫌违法获取消费者个人信息及相关问题提起消费民事公益诉讼，2018年1月2日，南京市中级人民法院已正式立案。与此同时，工业和信息化部信息通信管理局近日约谈了北京百度网讯科技有限公司、蚂蚁金服集团公司(支付宝)、北京字节跳动科技有限公司。该局指出，对照《网络安全法》《全国人民代表大会常务委员会关于加强网络信息保护的决定》《电信和互联网用户个人信息保护规定》(工业和信息化部令第24号)有关规定，三家企业均存在用户个人信息收集使用规则、使用目的告知不充分的情况，要求三家企业本着充分保障用户知情权和选择权的原则立即进行整改。此外，近日有媒体发现携程旅行、拼多多、赶集网、1号店等APP在不同程度存在可能违反个人信息保护有关法律法规及《个人信息安全规范》国家标准精神的问题。其中，主要问题表现为APP开启的隐私权限与其主营业务无关和/或未经明示隐私协议或提醒就开启包括相机、录音在内的多个敏感权限。

鉴于上述事件背景，以及工信部等有关部门加强对互联网服务信息收集使用规则告知、账号注销等环节的监督检查，严肃查处违法违规行为并向社会曝光的坚定立场与态度，本文拟结合实例就企业收集/接收消费者个人信息、以及授权第三方使用消费者个人信息数据的法律风险、实现路径等问题进行分析，以期能为企业在实际工作中高效、合规开展相关业务提供帮助和参考。

1.企业收集消费者个人信息的基本原则

根据《网络安全法》规定，企业收集消费者个人信息应当遵循公开性原则、合法、正当性原则以及必要性原则。

公开性原则，是指《网络安全法》第22条规定：“网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及用户个人信息的，还应当遵守本法和有关法律、行政法规关于个人信息保护的规定”。

合法、正当性原则，是指《网络安全法》第41条第1款规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意”。

必要性原则，是指《网络安全法》第41条第2款规定：“网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息”。

2.企业合法合规收集消费者个人信息的方式

企业在收集消费者个人信息之前应当得到消费者的授权或同意。取得消费者授权或同意的方式可以是在用户协议中植入消费者授权或同意企业收集、使用其个人信息的条款，也可以是通过单独的隐私协议或说明等其它书面方式取得消费者授权或同意。

在设计该上述条款、协议或说明时，企业可以参考《信息安全技术 个人信息安全规范》（征求意见稿及报批稿），尽量保证：

3.企业合法合规接收消费者个人信息的方式

除企业自行收集消费者个人信息外，企业从第三方处接收数据也是获取消费者个人信息的一种方式。由于数据转移、接收业务可能同时涉及行政责任（《网络安全法》等相关规定）与刑事责任（侵犯公民个人信息罪等），因此我们认为企业对数据接收业务的开展应当谨慎。特别是在金额较高、数据规模较大的业务中， 我们建议采用“合同约定+尽职调查”的方式减小接收数据的风险。

“合同约定”的方式是在数据接收方与数据提供方的协议中可以要求数据提供方承诺或保证以下内容：

“尽职调查”的方式是指，在“合同”约定的基础上，数据接收方可以对数据提供方开展适当尽职调查，尽职调查的内容包括但不限于以下方面：

《网络安全法》第42条第1款规定：“ 网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外”。该条款确立了《网络安全法》框架下企业将消费者信息交付第三方使用的基本原则，企业向第三方提供消费者个人信息的情况有且仅有两种情况：（1）取得信息主体人授权或同意；（2）对数据进行处理使其无法识别特定个人且不能复原。

1.企业通过取得消费者同意从而实现将其个人信息交付第三方使用的方式

企业取得消费者同意将其个人信息在特定情况下交付第三方使用的方式，可以是通过在用户协议或服务合同中进行约定，从而取得授权。以《花呗用户服务合同》为例，其第4.3.4条约定：“当您违反与服务商的约定时，为维护服务商的合法权益，在您的同意下可向与服务商合作的律师事务所、催收公司、及服务商认为可向您传达信息的亲戚朋友、联系人等披露您的违约信息”。

如果企业未在相关协议中对向第三方披露消费者个人信息事宜进行约定，我们认为，企业在向第三方披露之前，应当取得消费者完全知情的、明确具体的、明示的书面授权。以通过平台网站更新协议的方式获得授权为例，我们认为企业在更新协议的时候应尽量保证授权条款要在平台网站上以醒目、明确、具体的方式显示，并确保消费者以主动点击“同意”选项等方式完成授权动作。

2.企业通过对数据进行处理从而实现将信息交付第三方使用的方式

《网络安全法》第42条所指的“经过处理无法识别特定个人且不能复原的”数据，一般理解即指数据脱敏。但是这里需要明确的是，脱敏(masking)只是去标识化(de-identification)的一种方法，还有很多方法可以实现去标识化比如采取其他密码技术(cryptographic tools)，假名化技术(pseudonymization techniques)等，因此《网络安全法》第42条所指的“经过处理无法识别特定人且不能复原”实际是指数据去标识化，“脱敏”只是日常生活中大家的习惯性表达，从法律和技术角度来看，该表达并不严谨。

对于数据“脱敏“，目前暂时没有正式颁布的法律法规对其进行规范与要求，但是企业可以参考《信息安全技术 个人信息去标识化指南》（征求意见稿）进行合规自查，其中第4.1条规定，去标识化的目标之一系对直接标识符和标准标识符 进行删除或变化，避免攻击者根据这些属性直接识别或者结合其他信息识别出原始个人信息主体。第4.2条规定，对数据集去标识化应遵循合规、个人信息安全保护优先、技术和管理相结合、充分应用软件工具、持续改进的原则。另外，该指南附录A、B、C分别提供了常用去标识化技术、模型及选择供企业参考。

最后，需要注意的是，对数据进行去标识化，不可避免的会改变原始数据，这可能在特定业务场景下会对数据的有用性产生负面影响。因此，企业在选择数据“脱敏“还是取得消费者授权时候，应当结合自身业务特点进行分析比较，选择最有利于自身业务开展的方式方法。

根据上述建议，我们现将企业合规收集/接收消费者个人信息、授权第三方使用消费者信息的思路归纳为以下几个方面，以供企业在实际工作进行参考：